Niebezpiecznik

Atak na Microsoft zaczął się w listopadzie 2023. Atakujący użyli techniki password spraying, czyli sprawdzali możliwość zalogowania się pewnymi przewidywalnymi hasłami na wielu kontach. Udało im się dostać na stare konto nie używane już na produkcji. Wynikające z tego uprawnienia zostały wykorzystane by uzyskać dostęp do “małego odsetka kont mailowych” używanych przez: kierowników, pracowników działu cyberbezpieczeństwa i pracowników działu prawnego. Pobrano niektóre wiadomości i załączniki. Co ciekawe, Midnight Blizzard najprawdopodobniej szukał w Microsofcie informacji o sobie samym (tzn. co Microsoft może wiedzieć na temat grupy).

Atakujący nie uzyskali dostępu do danych klientów, systemów produkcyjnych, kodu źródłowego czy systemów AI. Wiadomo, że atak nie był wynikiem żadnej słabości w produktach czy usługach Microsoftu.

W oświadczeniu MS było ciekawe spostrzeżenie. Zorganizowany charakter działań takich grup jak APT29 musi zmienić spojrzenie na to, w jaki sposób wyważa się ryzyko wystąpienia zagrożeń w odniesieniu do ryzyka “biznesowego”. Niestety trzeba szybciej podążać w stronę zmniejszenia ryzyka zagrożeń, nawet jeśli będzie to oznaczało przerwy w aktualnie działających procesach – konkluduje Microsoft. Firma rozpoczęła już proces dostosowywania swoich starszych systemów do tej nowszej filozofii.

My jeszcze raz przypomnimy, że nawet w dużych, wysoce technicznych organizacjach zdarzają się bardzo podstawowe niedociągnięcia z zakresu bezpieczeństwa.

Co to jest APT29 (Midnight Blizzard)?

APT29 to grupa przestępcza znana także Cozy Bear albo Nobelium (jest jeszcze kilka innych nazw roboczych). To właśnie ona grupa atakowała różne instytucje z wykorzystaniem podatności w JetBrains TeamCity (CVE-2023-42793), a do powstrzymania tych działań przyczynili się także Polacy.

W ubiegłym roku w sieci pojawił się szczegółowy opis narzędzi tej grupy. Wiele ataków rozpoczynało się od podszywania się pod polityków lub dyplomatów. Nie było tam cudów ani zeroday’ów – ofiara musiała otworzyć pobrany plik, a sprzyjało temu wykorzystane techniki to np. DLL Sideloading i “ukrywanie” prawdziwego rozszerzenia pliku wykonywalnego EXE. Grupa działała często dość klasyczne, ale konsekwentnie i przez to skutecznie. Również z tą grupą związana była niesamowita historia o tym, jak rosyjscy hackerzy zostali zhackowani przez hackerów z Holandii.

APT29 uformowała się prawdopodobnie w latach 2008-2010. Wiązano z nią malware o nazwie MiniDuke wykryty przez Kaspersky’ego oraz ataki na jednostki dyplomatyczne zidentyfikowane 14 lat temu przez Symantec. Działania grupy są wyraźnie podzielone na wybrane obszary zainteresowań: dyplomacja, komunikacja, systemy wojskowe, sektor energetyczny. APT29 brała na celownik podmioty z Europy, Azji, Afryki i USA. Za jej najbardziej istotne wyczyny uważa się atak na Biały Dom i partię Demokratów w USA (rok 2014), atak spear-phishingowy na Pentagon (2015), ataki na instytucje rządowe Holandii i Norwegii (2017-2018) oraz duży atak na instytucje federalne USA z roku 2020, który rozpoczął się od  wykorzystania podatności w produktach Microsoftu, SolarWinds oraz VMWare.